¿Qué debemos buscar en nuestra red después de que ataquen a un socio o a una empresa del sector?
Cualquier vínculo con ella y cualquier cosa nueva. Empiece por lo que les une: túneles VPN compartidos, cuentas de acceso remoto que usa en sus sistemas, transferencias de archivos, hilos de correo y carpetas compartidas en la nube. Suspenda o cambie esas credenciales hasta que confirme qué se vio afectado y trate con cautela sus correos que pidan cambiar datos de pago, porque los atacantes reutilizan hilos de correo robados. Si su aviso o comunicado incluye indicadores de compromiso, como direcciones IP, dominios o hashes de archivos, búsquelos en los registros del cortafuegos, del proxy y de DNS de varias semanas atrás. Después vigile el comportamiento: equipos que de repente contactan con servidores externos nuevos a intervalos regulares, escaneos, subidas inusuales. NetSenX los detecta en todos los planes, y su mapa de red muestra quién se comunica con quién en los segmentos supervisados.
Siga leyendo
Preguntas relacionadas
- El año pasado tuvimos un incidente. ¿Cómo nos aseguramos de detectarlo si volviera a ocurrir?
- ¿Por qué las empresas se enteran tan a menudo de una brecha por terceros?
- ¿Cómo distinguimos un ataque de red de una actualización o una copia de seguridad pesadas?
- ¿Cómo sabemos qué es lo normal en nuestra red?
- ¿Qué es un indicador de compromiso (IOC)?